Uber の侵害対応：セキュリティインシデントをガバナンス問題に変えた事例

要約

• 侵入と対応は別個の説明責任イベントです。攻撃者は盗んだ認証情報を使用してプライベート GitHub ワークスペースに侵入し、平文の AWS アクセスキーを発見し、Uber の S3 環境から暗号化されていないバックアップファイルをダウンロードしました。Uber のセキュリティチームはアクセス経路を特定し、数時間以内にパスワードのリセット、二要素認証、キーのローテーションを開始しました。その後の情報開示の失敗は、技術的発見の遅れに伴う不可避の結果ではなく、重要な事実が既に判明した後に行われた決定に続くものでした。
• 10 万ドルの取引は、恐喝を研究に変えたわけではありません。攻撃者は既に無許可でシステムにアクセスし、データをコピーし、削除と引き換えに金銭を要求していました。Uber が認めた事実の陳述によると、AWS キーを使用してユーザー情報をダンプすることは許容される研究の範囲外であるとポリシーで規定していました。第 9 巡回区控訴裁判所は後に、事後の許可によって無許可アクセスが消去されることはなく、違法行為を NDA で洗浄することはできないと判断しました。
• ガバナンスの失敗は情報伝達の失敗でした。2016 年の事象は、当時 FTC の調査下にあった 2014 年のクラウドキー侵害と非常に類似していました。しかし、その調査を担当する弁護士は新しい事実を受け取らず、FTC には不完全な説明が続けられ、新 CEO には後に重要な詳細が省略または誤って伝えられた要約が渡されました。決定的なコントロールのギャップは、セキュリティがテーブルについているかどうかだけでなく、セキュリティ、法務、プライバシー、経営幹部、取締役会が同じインシデントの真実に至る必須の文書化された経路を持っているかどうかでした。
• データのローカル保存とグローバルな責任は逆方向に動きました。侵害されたファイルは米国のクラウド環境にありましたが、記録されたデータは世界中のライダーとドライバーに関するものでした。米国、英国、フランス、オランダ、オーストラリア、フィリピンの当局は異なる認定と救済措置を下しました。データと対応権限を一元化しても、法的義務は一元化されませんでした。一つの企業分類が、一度に多くの法域にわたる通知を遅らせることが可能になりました。

アクセスが閉鎖された後、より深刻になったインシデント

Uber の事例における最も有益な出発点は、セキュリティコントロールが機能しなかったことではありません。発見後に一部のセキュリティコントロールが機能したことです。

Uber が侵害を認識したのは 2016 年 11 月 14 日、攻撃者が同社に連絡し、データベースをダンプしたと主張した時でした。Uber が後に司法省の不起訴合意で認めた事実の陳述によると、セキュリティチームは約 1 日以内に、権限のない人物がプライベートソースコードリポジトリに侵入し、AWS 認証情報を発見してデータをダウンロードしたと判断しました。接触から数時間以内に、チームはアクセスポイントを封鎖し、パスワードリセットを開始し、GitHub アカウントに二要素認証を設定し、AWS サービスのキーをローテーションしました。

これらの行動は重要です。なぜなら、これによって事例が二つに分かれるからです。一つ目の事象は無許可アクセスとデータ盗難です。攻撃者はその犯罪に直接責任があります。二つ目は既知の事実に対する組織的な対応です。事象はどのように名付けられ、誰に伝えられ、なぜ金銭が支払われ、支払いの文書には何が書かれ、法執行機関や規制当局に連絡したか、そして影響を受けた人々への通知はいつ行われたかです。技術的な不確実性だけでは、遅延全体を説明できません。認められた記録によると、チームは、以前の侵害で関係していたのと同じ一般的な経路が、約 60 万の運転免許証番号を含むはるかに大規模な抽出につながったことをすぐに認識していました。

セキュリティインシデントは、初期段階ではしばしば曖昧なままです。アラートは、侵入ではなくスキャン、取得ではなく侵入、本番アーカイブではなくテストレコードの取得を示しているかもしれません。その不確実性は調査を正当化します。既に確立された事実を無視する分類を正当化するものではありません。ここでは、接触には証拠が含まれていました。内部調査によってリポジトリからクラウドへの経路が判明しました。チームは、大規模なドライバーデータベースがコピーされたことを発見しました。支払いを要求した人物は、データを保持していると述べました。適切な対応には、交渉、封じ込め、削除の確保が含まれる可能性がありますが、事象は脆弱性報告から窃取を伴う侵入へと一線を越えていました。

この区別は、元のクラウドセキュリティの仕組みが今ではよく知られているにもかかわらず、このエピソードが依然として重要な理由を説明しています。ソースコードに長期間有効なキーが存在していました。リポジトリアクセスは個々のアカウントに依存していました。多要素認証は必須ではありませんでした。古い認証情報は明らかに再利用可能でした。バックアップデータはクラウドキーの使用後に読み取り可能でした。それぞれが技術的なコントロール上の問題です。しかし、組織の対応プロセスが既知の侵害を別のものとして表現することを許したため、公的な影響は拡大しました。

したがって、成熟したインシデントプログラムは、二つの質問を同時に問うべきです。第一に、無許可アクセスは阻止されたか？第二に、その後のすべての決定は、対応室にいなかった人々に対しても依然として正当化できるか？第二の質問は、証拠の保存、分類、法的分析、支払いの承認、規制上の義務、取締役会へのエスカレーション、およびコミュニケーションを対象とします。Uber のチームは最初の質問では急速な進展を見せました。記録は二つ目で崩壊を示しています。

侵害記録が確立するもの

米国連邦取引委員会（FTC）の2018 年の改訂提訴状は、米国のデータ経路に関する最も正確な公的説明を提供しており、その後の Uber の司法省との合意は、いくつかの中心的事実を申し立てから企業の自認へと転換しました。

攻撃者は盗んだ認証情報を使用して、Uber のプライベート GitHub ワークスペースにアクセスしました。FTC は、Uber のエンジニアが一般的に個人のメールアドレスに関連付けられた個別の GitHub アカウントを使用し、Uber には認証情報の再利用を禁止するポリシーがなく、リポジトリアクセスに多要素認証を義務付けていなかったと主張しました。侵入者は他の大規模侵害で暴露されたパスワードを使用したと述べました。プライベートリポジトリに侵入した後、彼らは平文で AWS アクセスキーを発見しました。そのキーを使用して Uber の Amazon S3 データストアに到達し、2016 年 10 月 13 日から 11 月 15 日までの間に 16 個のファイルをダウンロードしました。

米国のライダーとドライバーについて、FTC は約 2560 万件の名前とメールアドレス、2210 万件の名前と携帯電話番号、60 万 7000 件の名前と運転免許証番号を挙げました。これらはフィールドの母集団であり、合計する数字ではありません。一人の人物が複数のグループに含まれる可能性があります。提訴状はまた、暴露された米国の情報のほぼすべてが 2015 年 7 月より前に収集され、暗号化されていないデータベースバックアップファイルに保存されていたとも述べました。

Uber の2017 年 11 月 21 日の公開声明では、米国のドライバーを含む世界中の 5700 万人のユーザーが影響を受けたとされました。影響を受けた情報には、名前、メールアドレス、携帯電話番号が含まれ、約 60 万人の米国ドライバーの運転免許証番号が含まれていたと述べました。Uber は、外部の法医学専門家が、旅行履歴、クレジットカード番号、銀行口座番号、社会保障番号、生年月日がダウンロードされた形跡は見つからなかったと指摘しました。また、このインシデントに関連する不正や悪用の証拠は見られなかったとも述べました。

これらの否定的な声明には注意深い文言が必要です。それらは、調査で発見されなかったという同社の説明であり、他のコピーが存在しなかったり、下流での試みが発生しなかったという証明ではありません。後の公的機関は、レビューした記録においてさらなる悪用の証拠を見つけませんでしたが、削除の数学的証明を主張したわけではありません。例えば、フィリピン国家プライバシー委員会は、2019 年 7 月の決議で、調査員はサーフェス、ディープ、ダークウェブでデータを発見せず、直ちに害は見られなかったと述べました。同委員会は、新たな情報に影響を与えないことを前提に、それ以上の通知や措置は現時点では不要と決定しました。これは限定的な規制上の結論であり、影響を受けたすべての人に関する普遍的な認定ではありません。

フランスのデータ当局は補完的な立場を取りました。2018 年 12 月の制裁決定において、CNIL は、報告された損害はその時点では確立されていないと述べましたが、それが被害の完全な不在を証明するという考えを退けました。攻撃者は識別データを取得しており、したがって後日使用する機会がありました。どちらの命題も真実であり得ます。調査員は悪用の証拠を見つけられないかもしれませんが、企業は攻撃者が削除を約束したときにすべてのリスクが終了したことを証明できません。

データセットも誇張すべきではありません。レビューされた公的記録は、旅行履歴や支払いカード番号がダウンロードされたファイルに含まれていたことを示していません。すべてのグローバルユーザーレコードにリストされたすべてのフィールドが含まれていたわけではありません。5700 万件のレコードが自動的に 5700 万人の固有の自然人に変換されるわけでもありません。また、保存されているすべての Uber データに到達したことを示すものでもありません。責任ある分析は、証拠が裏付けるよりも機密性の高いカテゴリを追加することなく、規模を保持します。

対応失敗のタイムライン

このシーケンスは、技術的、法的、ガバナンス上の義務がいつ乖離したかを示すため、中心的です。

2014 年の前兆は、2 つの侵害を統合するために含まれているわけではありません。それらは異なるインシデントでした。重要なのは、以前の事象が GitHub の AWS キー、暗号化されていないドライバーファイル、および結果として生じたセキュリティ表明に関する FTC の調査を含んでいたからです。Uber の自認事実によると、FTC は 2014 年 1 月 1 日から要求の完全遵守までの間のあらゆる侵害または侵害の疑いに関する情報を要求していました。2016 年の事象は、法的空白の中ではなく、その特定の背景の下で発生しました。

日付はまた、一般的な物語の誤りを明らかにします。支払いは、Uber が攻撃者の確認済みの身元を知り、削除の保証を得た後にのみ行われたわけではありません。司法省の合意は、攻撃者が 2016 年 12 月に 10 万ドルを引き出したと述べています。これは身元確認前であり、セキュリティチームのメンバーがデータが削除されたという保証を受け取る前でした。攻撃者の2019 年の有罪答弁の説明は支払日を示し、彼らは Uber が 1 月に彼らを特定した後にのみ本名で合意書に署名したと述べています。

バグ報奨金のラベルは事実に反した

バグ報奨金プログラムは、公開されたルールの下で脆弱性を発見し報告するための許可されたチャネルです。それは計り知れない公共の価値を生み出すことができます。研究者は企業が持っていないかもしれない専門知識を提供し、明確なポリシーは、犯罪者が悪用する前に弱点を報告する経路を彼らに与えることができます。このカテゴリーは、許可、善意、害の最小化に依存しており、企業に連絡する人物がハッキングの方法を知っているかどうかには依存しません。

Uber の自認事実の陳述は、2016 年 11 月の境界について異常に具体的です。そのポリシーは、ユーザーに影響を与える脆弱性の報告を歓迎し、責任あるアクセス報告に対する報酬を想定していましたが、AWS アクセスキーを使用してユーザー情報をダンプすることは容認できないとも扱っていました。攻撃者はキーが機能することを証明するだけでは止まりませんでした。彼らはプライベートシステムにアクセスし、大規模なアーカイブをコピーし、証拠としてサンプルを送り、削除と引き換えに金銭を要求しました。FTC の改訂事例に関する当時の説明も同様に、正規の報奨金受領者と、脆弱性を悪意を持って悪用し、何百万人もの消費者の個人情報を取得した攻撃者とを区別しました。

支払いチャネルはその順序を変えませんでした。第 9 巡回区控訴裁判所の2025 年の修正意見（アメリカ合衆国対サリバン）は、コンピューター詐欺および不正行為防止法に基づく許可はアクセス時に評価されると判示しました。裁判所は、後の NDA がエントリーを遡及的に許可できるという主張を退けました。その理由付けは、正当な研究の両側面を保護します。企業は事後に恐喝を浄化することはできず、昨日の許可を遡及的に撤回して、善意の研究者を今日犯罪者にすることもできません。

現在のHackerOne の開示ガイドラインも同じ運用上の区別を捉えています。同ガイドラインは研究者に対し、プログラムルールを尊重し、プライバシーを保護し、他のユーザーのデータへのアクセスや破壊を避け、許可なく他者を故意に悪用しないよう求めています。これらの現在のガイドラインは、2016 年に Uber に適用されたすべての契約条件の証拠ではありません。これらが有用なのは、支払いを管理するために使用されるプラットフォームが、基礎となる行為の性質を決定しない理由を示しているからです。

分類は意味論以上の損害をもたらしました。データ盗難が脆弱性報告のワークフローに入れられると、組織は誤った承認チェーン、記録、メトリクス、機密性の仮定を適用する可能性があります。バウンティチームは報告を検証し報酬を発行する権限を持っているかもしれませんが、侵害通知の決定、恐喝者との交渉、規制当局への表明、犯罪証拠の保存、6 桁の支払いの承認、取締役会が知るべき内容の決定を行う権限はないかもしれません。

2018 年の上院公聴会、Uber 侵害とバグ報奨金プログラムに関するものは、制度上の懸念を反映しています。問題は、報奨金が存在すべきかどうかではありませんでした。貴重なセキュリティメカニズムがセキュリティインシデントを隠蔽するために使用されたかどうか、そしてその使用が研究者、企業、一般市民の間の信頼を損なう可能性があるかどうかでした。答えは境界を維持することです。範囲内で善意による発見は報奨金プロセスに属します。無許可の取得、強制的な支払い要求、重大な消費者エクスポージャーは、同じ報告プラットフォームが最初のメッセージを受信したとしても、インシデント対応と法的エスカレーションに属します。

支払いはリスク決定であり、復旧の証明ではなかった

組織は、開示、修復、復旧、削除を支援するために外部の当事者に支払いを行うことがあります。会計上のエントリのラベルは、支払いが合法、慎重、または十分であるかどうかを決定しません。説明責任のある問題は、決定をどのような権限、証拠、保護措置が取り囲んでいるかです。

Uber のケースでは、支払いは 10 万ドルのビットコインで、バウンティプログラムを管理する第三者を通じて 2 回に分けて行われました。攻撃者は機密保持と削除に合意しました。しかし、NDA は、Uber の担当者が彼らがデータを取得したことを知っていたにもかかわらず、彼らがデータを取得または保存していなかったと述べていました。その虚偽の前提は、イベントの正直な記録として文書を弱めました。それは、調査が確立した状態ではなく、企業が真実であってほしいと望んだ状態を記述していました。

削除の約束にも証拠上の限界があります。攻撃者は、目に見えるコピーの削除を示しながらも、別のコピーを保持しているか、データを共有しているか、協力者のシステムに対する制御を欠いている可能性があります。それは、企業が削除のために交渉してはならないという意味ではありません。それは、削除の保証が、通知分析、監視、法執行機関との連携、影響を受ける人々へのサポートの代わりではなく、いくつかの緩和策の一つであることを意味します。Uber の公開声明は、個人を特定し、破壊の保証を得たと述べました。後の有罪答弁は、彼らが誰であり、何を認めたかを立証しています。どちらも、他にコピーが存在しなかったという完全な技術的証明にはなりません。

支払いの決定は、少なくとも 7 つの記録された質問を伴う部門横断的なゲートをトリガーすべきでした。

1. 許可:アクセスは、それが発生した時点で公開された研究ポリシーの下で許可されていましたか？
2. データ:何が閲覧、コピー、保持、共有され、各回答を裏付ける証拠は何ですか？
3. 脅威:接触は善意の報告、恐喝要求、制裁上の懸念、進行中の犯罪キャンペーン、または法執行機関の助言を必要とする混合ですか？
4. 権限:誰が金額、支払い経路、契約文言、通常の報奨金限度額の例外を承認できますか？
5. 通知:どの人々、規制当局、ビジネスパートナー、保険会社、法執行機関が迅速な通知を必要とするか、またはその恩恵を受ける可能性がありますか？
6. 証拠:修復が環境を変える前に、どのログ、通信、ウォレット情報、サンプル、フォレンジックイメージを保存しなければなりませんか？
7. 保証:封じ込めと削除について実際に検証できることは何ですか？また、どのような残余の不確実性が残りますか？

その後のカリフォルニア州の最終判決は、このロジックの多くを拘束力のあるガバナンスに変換しました。2018 年の確定判決は、定義された役割、バックアップ連絡先、エスカレーション経路、定期的なテスト、書面による法的判断、対応措置の文書化を含むインシデント対応・通知計画を要求しました。また、セキュリティ担当役員が、バグ報奨金プログラムなどのチャネルを通じてデータセキュリティインシデントを報告した第三者への 5,000 ドルを超える支払いを含め、CEO、最高法務責任者、取締役会に四半期ごとに報告することを義務付けました。

この救済策は示唆的です。問題のある支払いへの答えは、報奨金報酬の一律禁止ではありませんでした。それは可視性でした。大規模またはインシデントに関連する支払いは、セキュリティチーム内の孤立した取引のままであるべきではありません。それは、インシデント、法的結論、証拠、経営報告、修復計画と同じガバナンス記録に現れるべきです。

弁護士が関与していても法的エスカレーションは失敗した

弁護士の存在は、法的エスカレーションが行われたことを証明しません。Uber の記録は、職務上の肩書きよりも組織内の経路が重要である理由を示しています。

サリバンは単なる最高セキュリティ責任者ではありませんでした。2016 年 8 月までに、彼は副法務顧問の肩書きも持ち、Uber の FTC 対応に深く関与していました。司法省の合意によると、Uber は彼を S3、暗号化、個人データの保管について証言するよう指名していましたが、それは彼が新たな侵害を知る 10 日前の 11 月 4 日でした。また、FTC の書面による要求は、無許可アクセス、アクセス可能なデータ、コピーまたは削除されたもの、消費者や法執行機関などへの通知時期を対象としていたと述べています。

しかし、FTC 調査を担当する弁護士は 2016 年の事実を受け取りませんでした。Uber の認められた記録は、2016 年 12 月の回答草案で、すべての新しいデータベースバックアップが 2014 年 8 月以降暗号化されていると述べていたことを説明しています。2016 年の侵害で取得されたアーカイブはその日付以降に作成され、暗号化されていませんでした。サリバンは草案を受け取り、アクセス制御の改善に関する説明を議論しましたが、矛盾するインシデントについて弁護士に伝えませんでした。2017 年 4 月には、侵害を開示しないまま、FTC に調査の終了を求める書簡を承認しました。

この区別は、セキュリティが常に生のインシデントの雑談をすべての弁護士に開示すべきだということではありません。過剰な配布は調査を損ない、個人データを暴露し、予備的な事実と結論を混同する可能性があります。失敗は、進行中の規制要求に直接応答する事項が、それに答える責任を負う弁護士に届かなかったことです。知る必要性の管理が、法的に知る必要性のある人々が事実を知ることを妨げる方法になりました。

これは、同じリーダーがセキュリティ運用、調査、法執行機関との関係、法的対応の一部を所有している場合の構造的リスクです。統合された専門知識は決定を加速させることができますが、独立したチェックを排除することもできます。事象を分類する人物が事実、支払いチャネル、規制当局とのインターフェースも管理している場合、別の説明責任者がその分類をテストする自動的なポイントがない可能性があります。

より良いエスカレーション設計は、一人の判断に依存しません。客観的なトリガーを使用します。個人データの無許可取得の確認、政府発行の識別子、恐喝要求、定義された金額を超える支払い、以前の規制上の表明と矛盾する事実、民事調査要求内の事項、または経営陣向けに作成された重要な要約。いずれか一つのトリガーが、インシデント指揮官、プライバシー弁護士、監督法務責任者、および即時の対応チェーンの外部の幹部への並行通知を必要とする可能性があります。システムは、各機能がいつ通知され、どのような決定を下したかを記録すべきです。

2017 年の新 CEO の経験は、要約にも管理が必要な理由を示しています。Uber の認められた事実によると、チームは、権限のない当事者がプレーンテキストのすべてのライダーおよびドライバーデータを潜在的に含む AWS バケツに到達し、Uber に連絡した時点でまだデータを保持していたことを指摘するブリーフィングを作成しました。後に新 CEO に送られた要約は、これを一部のライダーおよびドライバーデータへのアクセスに縮小し、接触時の保有を省略し、支払いを身元確認後と誤って記載しました。取締役会や CEO は、ソフト化された形でのみ受け取ったインシデントを統治することはできません。

したがって、幹部向けのインシデント要約は、5 つの譲れない事実を保持すべきです。何が確認されているか、最大の信頼できる範囲、何が不明のままか、どのような外部義務がトリガーされる可能性があるか、そして以前の会社の声明と矛盾する主張はどれか。簡潔であっても構いません。エスカレーションを必要とする詳細そのものを削除することはできません。

遅延通知はライダーとドライバーにリスクを転嫁した

通知はしばしばコンプライアンスの期限として説明されます。それはまた、意思決定権限の配分でもあります。

人々がタイムリーな通知を受け取ると、不審なメッセージへの対応方法を変更したり、アカウントを監視したり、自動車局に連絡したり、悪用の証拠を保存したり、本物の会社の連絡と偽装の試みを区別したりすることができます。遅延は、これらの選択肢を企業内部に留めます。企業は、削除、監視、または観察された悪用の少なさによって通知が不要になると考えるかもしれません。影響を受けた人は、その事象が発生したことを知らないため、その結論を評価できません。

暴露された連絡先フィールドには、パスワードや支払いカードがなくても実用的な悪用価値がありました。名前とメールアドレスおよび携帯番号が結びつくと、攻撃者に同じ人物に複数のチャネルで連絡する方法を教えます。ドライバーであることは職業上の文脈を提供します。運転免許証番号は耐久性のある政府発行の識別子を追加します。この情報は、説得力のあるメッセージの調査コストを削減したり、アカウント復旧の試みをサポートしたり、詐欺師がプラットフォームサポートを装うのを助けたりする可能性があります。これは悪用接触の経済学です。データはそれだけで詐欺を完了させる必要はなく、ターゲットを絞った接触をより安価で信用できるものにします。

リスクは証拠に基づいた範囲内に留めなければなりません。レビューされた記録は、2016 年のファイルに起因するフィッシングや個人情報詐欺のキャンペーンを確立していません。Uber は関連する悪用を見なかったと述べました。オーストラリアとフィリピンの当局も、調査した記録においてさらなる悪用の証拠は見られなかったと報告しました。分析は能力と失われた保護時間に関するものであり、すべての記録が害を生じたという主張ではありません。

政府のガイダンスは、なぜこれらのフィールドが依然として重要かを説明しています。IdentityTheft.gov の侵害ガイダンスは、窃盗犯が運転免許情報を使用してなりすましを試みる可能性があると述べ、関連する自動車局への連絡を推奨しています。FTC は別途、配達ドライバーやレストランを標的とするサポート詐欺に関する消費者向け注意喚起で、詐欺師がアカウントや注文の問題をでっち上げて、メールアドレス、電話番号、銀行詳細、確認コードを求める可能性があると警告しました。その後の警告は、Uber の 2016 年データの使用を証明するものではありません。これは、プラットフォーム労働市場における同じ低コストの接触チャネルを示しています。

Uber の最終的な 2017 年 11 月の対応は、影響を受けた米国のドライバーに個別の通知、クレジット監視、個人情報盗難保護を提供しました。規制当局に通知し、追加の詐欺防止のためにアカウントをフラグ付けしました。これらは具体的な緩和策でした。また、これらは、事象が適切に分類されれば、同社が提供できる対策を持っていたことを示しています。1 年以上の遅延はこれらの対策を延期しました。

同社には単一のグローバルな通知クロックはありませんでした。米国の州法、欧州の国内法、オーストラリアのプライバシー原則、フィリピンの規則は、範囲、トリガー、救済策において異なっていました。安全な分析上の結論は、執行記録から得られるものであり、ある法域の現行法をすべての人に投影することからではありません。カリフォルニア州当局は、Uber が必要とされる通り、174,000 人以上のカリフォルニア州ドライバーに通知しなかったと主張し、全国的な請求を 1 億 4800 万ドルの和解で解決しました。最終判決は、裁判や裁定なしに、Uber が申し立てられた事実や責任を認めることなく入力されたと明示されています。支払いと拘束力のある差し止め命令は最終的です。基礎となる州の申し立ては裁判で検証されませんでした。

データのローカリティは責任をローカライズしなかった

クラウド環境は米国にありました。人々はそうではありませんでした。

この事例は、しばしば一つにまとめられる 4 つのローカリティの形態を分離します。ファイルがどこに保存されているか、運用上の決定がどこで行われるか、影響を受ける人々がどこに住んでいるか、どの法律が適用されるかです。データを米国でホストされるクラウドサービスに移動することは、最初の質問に答えました。他の 3 つには答えませんでした。

オーストラリア情報コミッショナーの 2021 年の決定発表は、国境を越えた取り決めの最も明確な公的声明です。OAIC は、推定 120 万人のオーストラリア人が影響を受け、彼らの情報がグループ内のアウトソーシング契約に基づいて米国のサーバーに直接転送されたと認定しました。米国企業は、オーストラリアプライバシー法の対象ではないと主張しました。コミッショナーは、米国の Uber Technologies とオランダの Uber B.V. の両方が遵守しなければならないと結論付け、プライバシーの侵害を認定し、ポリシー、プログラム、独立したレビューを命じました。

フランスは異なるルートで支配の問題に到達しました。CNIL の決定は、米国で設計開発されたグローバルサービス、欧州の管理者として提示されたオランダの法人、現地のマーケティングとサポートを行うフランスの事業所を説明しました。それは、米国とオランダの企業が共同で本質的な目的と手段を決定したと結論付け、米国の企業が侵害の結果を管理したことを強調しました。この決定は、フランスの事業所を通じてフランス法を適用し、フランスの約 140 万人のユーザーに関して 40 万ユーロのセキュリティ制裁を課しました。これは実質的な支配としてのデータ主権です。契約は重要ですが、当局は誰が実際にサービスを設計し、重要なプロバイダーを選択し、インシデント対応を指示したかも調査する可能性があります。

英国情報コミッショナー事務局の2018 年の制裁金通知は、約 270 万人の英国顧客に対処し、GDPR 以前の 1998 年データ保護法に基づいて 38 万 5000 ポンドの罰金を課しました。オランダ当局は別途、Uber B.V. と Uber Technologies に通知遅延で 60 万ユーロを課しました。その公表された罰金決定は、オランダで約 17 万 4000 人の影響を受けた人々を特定しました。Uber の最新のレビューされた2025 年フォーム 10-Kは、英国、オランダ、フランスの監督当局が 2018 年後半に合計約 160 万ドルの罰金を課したと報告しています。

フィリピンの記録は別の境界を追加します。国家プライバシー委員会は当初、Uber の通知の詳細を批判し、後に携帯番号記録に基づいて約 17 万 1000 人のフィリピン人ライダーとドライバーを報告し、最終的に 2019 年にそれ以上の措置は現時点では不要と結論付けました。また、1 件のフィリピン人運転免許証が当初米国のエクスポージャーとして扱われたグループに含まれており、そのドライバーには通知が行われていたことも発見しました。グローバルなデータセットは、国籍、居住地、電話登録、文書発行者によって常にきれいに分類されるわけではありません。これらの側面は異なる通知対象者を指す可能性があります。

いずれの国の数字も、グローバルな 5700 万人の合計に加えるべきではありません。それらは異なる法的目的のために作成された管轄区域のサブセットです。これらは、中央集権化されたインシデント分類が集中したガバナンスリスクを生み出す理由を示しています。米国のセキュリティ組織における一つの決定が、複数の法制度にわたる当局と人々が必要とする情報を遅らせました。

防御可能なグローバル対応には、インシデント前のローカリティ登録が必要です。法的実体、管理者または処理者の役割、保管地域、転送経路、データ主体の居住地、識別子発行国、規制当局、通知トリガー、現地連絡先。インシデント発生時には、組織は確認されたフィールドをその登録に対してマッピングすべきです。法的チームは、物理的なバケットの場所がすべての義務を支配していると偽ることなく、管轄区域固有の決定を下すことができます。

説明責任は分散していたが、曖昧ではなかった

複雑な組織はしばしば責任が共有されていると説明します。そのフレーズは、各部分が実質的な支配に結びつけられて初めて有用です。

攻撃者

ブランドン・グローバーとバシレ・メレアクレは、盗んだ認証情報を使用し、企業の AWS データベースへのアクセスを手配し、機密情報をダウンロードし、削除と引き換えに金銭を要求したことを認めました。彼らは 2019 年にコンピューターを使用した恐喝共謀の罪を認めました。彼らの行為は、無許可アクセス、窃盗、強制的な要求の直接の原因でした。セキュリティの弱点や企業の隠蔽は、その刑事責任を軽減しません。

ジョセフ・サリバン

連邦陪審は 2022 年 10 月、サリバンを FTC 手続きの妨害と重罪の隠蔽で有罪としました。司法省の有罪判決記録によると、陪審は、彼が知識を厳格に管理し、虚偽のデータ不存在表明を含む支払いと NDA を手配し、FTC の調査を担当する弁護士から事象を隠蔽し、後に新経営陣と外部弁護士に対して事実を偽って伝えたという証拠を聞きました。2023 年 5 月、地方裁判所は司法省の判決発表に記録されている通り、3 年間の保護観察と 5 万ドルの罰金を課しました。

第 9 巡回区控訴裁判所は 2025 年 3 月に両方の罪状を支持し、2025 年 11 月に再審理を拒否しながら修正意見を出しました。サリバンは陪審説示、証拠の十分性、証拠裁定に異議を唱えました。裁判所はこれらの異議を退けました。その後、彼は米国最高裁判所に上告しました。裁判所のサリバン対アメリカ合衆国の事件記録は、2026 年 6 月 29 日に裁量上訴の却下を記録しています。本稿執筆時点で、有罪判決と刑は有効です。

法的結果は、通知判断を争うすべての最高情報セキュリティ責任者に自動的な刑事責任を一般化すべきではありません。有罪判決は特定の記録に依存していました。進行中の FTC 手続き、ハッカーの重罪の認識、積極的な隠蔽、虚偽の契約文言、不完全な規制情報、その後の虚偽表示。セキュリティリーダーには不確実な報告を調査する余地が必要です。彼らは、開示が以前の表明に悪影響を与えるという理由で、確立された事実を変更する特権を取得しません。

Uber Technologies

個人の有罪判決は企業の責任を尽くしませんでした。2022 年 7 月、Uber は侵害に関する同社の取り扱いに関する連邦捜査を解決する不起訴合意を締結しました。Uber は事実の陳述に記載された自社の役員、取締役、従業員、代理人の行為を認め、責任を受け入れました。司法省は、新たなリーダーシップ、2017 年の迅速な開示、強化されたコンプライアンス機能、協力、FTC 命令、州の和解を理由に、Uber が合意を遵守する場合、当該行為について Uber の事業体を訴追しないことに合意しました。

この解決は無罪でも企業の有罪判決でもありません。それは、自認と条件によって裏付けられた、検察の裁量の交渉による行使です。これは、組織的役割の中で行われた行為について企業が説明責任を負うという命題を維持しつつ、改善を認めるものです。

その他の幹部、弁護士、取締役会

公的記録は、インシデントの何らかのバージョンを聞いたすべての人物を刑事責任があると扱うことを支持していません。第 9 巡回区控訴裁判所の意見は、サリバンが当時の CEO トラビス・カラニックにハッカーが契約に署名したと伝えたと述べています。他の裁判所および起訴記録には、この問題をバウンティプログラムを通じて扱うことに関する通信が含まれています。それらは、カラニックの知識、意図、法的責任についての最終的な裁定を提供するものではなく、彼はこの事件で有罪判決を受けていません。

同様に、セキュリティチームに配属された弁護士は NDA の草案作成を支援しましたが、FTC の問題を担当する弁護士は侵害について知らされていませんでした。これらは異なる役割と知識状態です。取締役会の後の内部レビューは事象を明るみに出すのに役立ちましたが、レビューされた公的記録は、各取締役が 2016 年 11 月と 12 月に何を知っていたかについての完全で同時期の地図を提供していません。

ガバナンスの教訓は、これらのギャップを非難で埋めることではありません。非公式な知識の断片への依存を排除することです。この規模の支払い、政府発行の識別子の確認された取得、規制調査中の管理経路の再発、法医学的事実と矛盾する NDA は、それぞれ独立した法務リーダーシップおよび取締役会または指定された委員会への直接的で記録されたエスカレーションを生み出すべきです。

クラウドおよびリポジトリプロバイダー

公的記録は、GitHub または AWS の基盤プラットフォームの侵害を確立していません。攻撃者は盗んだユーザー認証情報を使用して Uber のプライベートリポジトリに侵入し、コード内で見つかった Uber の AWS キーを使用しました。関連するプロバイダーサービスは認証された行動を実行しました。暴露されたキー、ID 設定、リポジトリアクセス、読み取り可能なバックアップに関する責任は、規制当局が説明した事実の下で Uber に残りました。

プロバイダーの設計は依然として利用可能な防御を形成します。AWS は 2014 年に不注意に露出したアクセスキーのためのガイダンスを公開し、キーの削除またはローテーション、アカウントアクセスの確認、S3 および CloudTrail の証拠のチェック、長期間有効な認証情報を避けるための役割またはフェデレーションの使用を推奨しました。現在のAWS IAM のベストプラクティスは、一時的な認証情報、フェデレーション、MFA、最小権限、未使用の権限の削除に向けてさらに進んでいます。現在のガイダンスは、2016 年のすべてのワークロードで Uber がどのコントロールを展開できたかを正確に証明することはできませんが、2014 年のガイダンスは、認証情報のローテーション、ログレビュー、長期間有効なキーの露出削減がこの事象の後に発明されたのではないことを示しています。

救済策は欠落していたコントロールを明らかにする

執行命令は、罰金のリストとしてではなく、コントロールマップとして読むと最も有用です。

FTC の最終改訂命令は、個人情報の監視と保護に関する虚偽の表明を禁止しました。アクセスキー管理、安全なクラウドストレージ、脆弱性報告と報奨金プログラム、予防、検出、対応を網羅する包括的なプライバシープログラムを要求しました。20 年間、2 年ごとの独立した評価を義務付けました。また、米国法が Uber に他の政府機関への通知を要求する場合、FTC への直接のインシデント報告義務を作成し、報奨金報告、法執行機関との通信、遵守に矛盾するか限定する記録の保持を要求しました。

FTC の提訴は同意事項で発行されました。Uber は管轄事実を除き、その申し立てを認めも否定もしませんでした。最終命令は拘束力がありますが、申し立ては依然として申し立てとしてラベル付けされるべきです。この手続き上の区別は運用上のシグナルを弱めません。FTC は当初、2014 年の問題のより狭い解決を提案していました。2016 年の事象を知った後、受け入れを撤回し命令を拡大しました。遅延侵害は、規制当局の証拠と報告管理に何が必要かという見方を変えました。

州の判決は、セキュリティ担当役員、独立した評価、クラウドバックアップの暗号化要件、リポジトリ管理、インシデント計画、書面による法的判断、取締役会報告、企業倫理プログラムを追加しました。許容されるリポジトリアクセスを、強力な一意のパスワード、MFA または同等の保護、ロックアウトしきい値、アクセスログに明示的に結び付けました。また、認証情報に関するトレーニングと懲戒措置を要求しました。

外国の決定は追加の側面を提供しました。フランスはセキュリティ対策と事業体間の事実上の支配に焦点を当てました。オランダは通知の遅延に焦点を当てました。英国は当時適用されていた法律の下でセキュリティの失敗を調査しました。オーストラリアは合理的な保護、保持と破棄、コンプライアンスシステム、海外企業の取り決めに焦点を当てました。フィリピンは独自の通知と害の分析を適用し、最終的に当時入手可能な証拠に基づいてそれ以上の措置を取らずに問題を終結させました。

これらの結果は交換可能ではありません。法律、証拠、当事者、救済策が異なるため、それらは異なります。これらは共に、グローバルな侵害対応が技術的、消費者的、規制的、企業的、刑事的という複数の種類の説明責任を同時に担わなければならないことを示しています。

将来のインシデントのための対応管理モデル

Uber の事例は、組織の真実を保存することを中心に構成された実用的なモデルを支持します。

単一のインシデント記録。セキュリティ運用、プライバシー、法務、コミュニケーション、保険、経営陣は、元の観察と後の修正を保存する管理された時系列で作業すべきです。ラベルは事実の進展に応じて変更できますが、元の証拠は上書きできません。記録は、確認されたアクセス、疑われる取得、検証された取得、行為者の主張、企業の推論、未知のものを区別すべきです。

二重分類。報告は脆弱性報告であると同時にセキュリティインシデントでもありえます。弱点の発見は、後の行為が範囲を超えていても技術的な称賛に値するかもしれません。インシデント分類は、受付チャネルではなく、アクセスとデータの事実に基づくべきです。無許可の取得、強制的な要求、個人データのサンプルは、問題をバウンティのみの取り扱いから外すべきです。

独立した法的経路。セキュリティチームに組み込まれた弁護士は調査に助言できますが、監督するプライバシーまたは規制担当の弁護士は、通知と以前の表明を独立して評価すべきです。機関の調査、命令、民事要求が開かれている場合、その問題に対して責任を負う第二の弁護士が事実を直接受け取るべきです。インシデントリーダーは、その事象が応答性があるかどうかを単独で決定すべきではありません。

支払いガバナンス。研究者、恐喝者、仲介者への支払いには、幹部の承認、法的レビュー、財務、該当する場合は制裁スクリーニング、法執行機関との協議、取締役会報告に結び付けられたしきい値を設けるべきです。書面による合意は、既知の事実を正確に記述しなければなりません。削除条項は、データが取得されなかったと主張すべきではありません。企業は、削除の証拠が何を証明でき、何を証明できないかを記録すべきです。

管轄区域マッピング。対応チームは、影響を受けるフィールドを法的実体、人々、規制当局に結び付けるべきです。ある地域での保管は、居住地や準拠法を確立するものではありません。政府発行の識別子は、アカウントの地理と同様に発行管轄区域への注意を必要とします。現地の通知は異なる対象者と内容を必要とする場合があります。

幹部要約のレッドチームレビュー。重要な要約が CEO または取締役会に届く前に、対応チェーンの外部の誰かがそれを法医学的調査結果、支払い記録、法的助言と比較すべきです。高範囲の内部調査結果からよりソフトな幹部向け言語への削減は、黙って編集されるのではなく、説明されるべきです。

証拠保存型の封じ込め。パスワードリセット、キーローテーション、アクセス遮断は緊急ですが、ログの保存と調整すべきです。FTC の2016 年の侵害対応出版物は、Uber がこの事象を知る数週間前にリリースされ、事業者に対し、運用の安全確保、フォレンジックおよび法務チームの動員、証拠の保存、コミュニケーション計画の作成、侵害通知の提供を助言していました。ポイントは、一般的なガイドが特定の法的義務を決定するということではありません。封じ込め、弁護士、証拠、通知が既に同時並行のワークストリームとして認識されていたことを示しています。

測定された報告。取締役会はインシデント件数以上のものを受け取るべきです。有用な指標には、確認された取得からプライバシー弁護士までの時間、監督法務レビューまでの時間、管轄区域マップまでの時間、インシデントに関連する支払いの数と価値、支払いゲートの例外、行われたまたは拒否された通知、拒否の理由、以前の表明との矛盾、期限切れの修復が含まれます。指標は情報経路を監査可能にします。

Uber の現在の公開説明は、実質的により構造化されています。その 2025 年フォーム 10-K は、CISO がサイバーセキュリティ事項を四半期ごとに取締役会と監査委員会に交互に報告し、特定のインシデントは四半期ごとに取締役会に届き、CISO と最高プライバシー責任者が共同でプライバシーとサイバーセキュリティ評議会を主宰し、机上演習には法務、コミュニケーション、財務、投資家関係が含まれ、法務チームがインシデント開示分析をサポートしていると述べています。これらは現在のプログラムに関する企業の説明であり、すべてのコントロールが効果的に運用されているという独立した証明ではありません。しかしながら、これらは 2016 年に欠落していたか迂回された部門横断的な経路をたどっています。

依然として不明なこと

公的記録は中心的な対応の失敗について高い確信を支持するのに十分詳細ですが、完全ではありません。

AWS キーの完全な権限範囲、16 個のファイルの完全なリストとサイズ、到達したすべての S3 バケット、関連するすべてのクラウドログ、正確な暗号化とキー管理の設計は開示されていません。リポジトリの認証情報が 1 人のエンジニアのものか複数人のものか、再利用されたパスワードを暴露した以前の侵害はどれか、自動シークレットスキャンが攻撃者より先にキーを見つけられたかどうかは示されていません。

57 万件のグローバルレコード全体での確定したユニークな人数は提供されていません。管轄区域のカウントは異なる単位とフィルタを使用しています。公的記録は、各フィールドを各人物にマッピングしたり、居住国、電話登録、運転免許証、法的実体の関係をすべて解決したりしていません。

すべてのコピーの破壊を技術的に証明するものではありません。また、データに関連する完了した下流の詐欺キャンペーンを確立するものでもありません。悪用の証拠がないという認定と残余の不確実性は並存しなければなりません。

2016 年と 2017 年の内部会話、各ブリーフィングのすべての受信者、各幹部、弁護士、取締役の完全な知識状態は開示されていません。刑事評決はサリバンの 2 件の罪状に対する責任を確立します。企業の不起訴合意は、説明された組織的行為に対する Uber の自認と受け入れられた責任を確立します。いずれも、裁定されていない人々の犯罪的意図についての裏付けのない結論を許しません。

FTC および州の命令に基づくすべての独立した評価が公開されているわけではありません。Uber の現在の証券提出書類はガバナンスと認証を説明していますが、外部の読者は完全なインシデント経路プロセス、バウンティ支払い記録、評価の例外、修復の証拠をテストできません。

最後に、法的記録は動き続けています。最高裁判所は本稿の公開日のわずか 11 日前にサリバンの上告を却下しました。その却下は第 9 巡回区控訴裁判所の判決をそのまま残しますが、訴追リリースのすべての文をインシデント対応の普遍的なルールに変えるわけではありません。将来の事例は異なる規制義務、証拠、善意の研究事実、支払い状況を提示する可能性があります。

説明責任のテストは、真実が対応を生き残るかどうかである

元の侵害はいくつかのよく知られた方法で防止可能でした。より強力なリポジトリ ID、必須の MFA、ソースコード内の平文の長期クラウドキーの排除、より狭いクラウド権限、暗号化されたバックアップ、シークレット検出、より良い監視。これらのコントロールは注目に値します。それらは最も特徴的な教訓ではありません。

特徴的な教訓は、インシデント対応が第二のインシデントを生み出す可能性があることです。セキュリティチームはアクセスを閉鎖する一方で、組織はより大きな法的およびガバナンス上のエクスポージャーを開く可能性があります。支払いは攻撃者の即時のレバレッジを減らす一方で、証拠と通知に関する不確実性を増大させる可能性があります。機密保持契約は、既知の取得を否定する場合、誤解を招くようになりながら、正当な調査を支援する可能性があります。知る必要性のルールは、それらの事実を必要とする弁護士や幹部を除外しながら、機密事実を保護する可能性があります。短い幹部要約は、幹部がそれを見る必要があった理由を削除しながら、時間を節約する可能性があります。

したがって、すべての影響度の高いインシデントには真実保存テストが必要です。分類は既知の行為と一致しているか？契約は法医学的記録と一致しているか？規制当局はその要求に応答する事実を受け取っているか？取締役会は重要な範囲と不確実性を見ているか？影響を受ける人々は自らを守るのに十分な情報を受け取っているか？組織は後で、誰が、どの証拠に基づいて、どの権限の下で決定したかを再構築できるか？

Uber の 2016 年の対応はそのテストに失敗しました。結果は 2017 年の風評修正に限定されませんでした。FTC は 20 年間の命令を拡大しました。全 50 州とコロンビア特別区は 1 億 4800 万ドルの解決とガバナンス管理を獲得しました。外国当局は米国に保持されているデータに自国の法律を適用しました。Uber は連邦の不起訴合意で企業責任を受け入れました。2 人の攻撃者は有罪を認めました。元最高セキュリティ責任者は有罪判決を受け、有罪判決が支持され、最高裁判所の審理は拒否されました。

結果は、事実が確認される前の即時かつ無差別な開示の要求ではありません。それは並行作業の要求です。迅速に封じ込める。慎重に調査する。証拠を保存する。行為に従って分類する。独立した法的および経営幹部の権限にエスカレーションする。現地の義務をマッピングする。支払いを統制されたリスク決定として扱う。法律と証拠が要求することを人々と規制当局に伝える。不確実性を正直に記録する。

侵害は、組織が技術的に何が起こったかを見ることができるが、制度的にそれを言うことができないときにガバナンスインシデントになります。コントロールの目的は、事実が知られたら、いかなるラベル、支払いチャネル、報告ライン、恥ずかしさへの恐れもそれらを消し去ることができないようにすることです。